Über 2 Millionen Euro Bußgeld für Vinted

Die litauische Datenschutzbehörde hat gegen die Online-Plattform Vinted am 02.07.2024 ein Bußgeld von fast 2,5 Millionen Euro verhängt. Vinted ist eine digitale Handelsplattform, die zwischen Privatpersonen den Verkauf von Secondhand-Kleidung ermöglicht. Die Strafe resultiert aus mehreren Verstößen gegen die Datenschutzgrundverordnung (DSGVO), insbesondere im Umgang mit Transparenzpflichten bei der Ausübung von Betroffenenrechten und dem sogenannten Shadow Banning.

Hintergrund des Falls

Vinted betreibt eine Online-Handelsplattform, deren ehemaligen Tochterunternehmen Kleiderkreisel und Mamikreisel waren. Nutzer können auf der Plattform mittels einer App oder über den Browser gebrauchte Kleidung und sonstige Mode-, Deko- und Kosmetikprodukte verkaufen oder tauschen.

Seit 2020 haben mehrere europäische Datenschutzaufsichtsbehörden, darunter auch Deutschland, die Niederlande und Spanien, Beschwerden über Vinted erhalten. Diese bezogen sich hauptsächlich auf den mangelhaften Umgang mit Betroffenenanfragen. Die französische und die polnische Datenschutzbehörde richtete sich infolgedessen in den Jahren 2021 und 2022 an die zuständige litauische Datenschutzaufsichtsbehörde (State Data Protection Inspectorate, SDPI), die eine umfangreiche Untersuchung startete. Infolgedessen stellte die Behörde mehrere Verstöße gegen die DSGVO fest.

Transparenzgebot und Löschungsanfragen

Art. 17 DSGVO gewährt betroffenen das Recht auf Löschung ihrer personenbezogenen Daten. Ein zentraler Punkt der Beschwerden war die Praxis von Vinted, auf Löschersuchen nach konkreten Gründen zu fragen. Anstatt die betroffenen Personen zu informieren, warum man nicht tätig werde, verlangte man also selbst eine Begründung. Wurden keine Gründe angegeben, sei dem Löschbegehren laut der Pressemitteilung der SDPI nicht nachgekommen worden. Diese Vorgehensweise verstoße gegen das Transparenzgebot nach Art. 12 Abs. 1 DSGVO und das Beantwortungsgebot nach Art. 12 Abs. 4 DSGVO.

Was ist Shadow Banning?

Zudem stellte die SDPI auch fest, dass Vinted Shadow Banning, hier bezeichnet als „Shadow Blocking“, betrieb. Bei Shadow Banning, werden Inhalte von Nutzern nicht mehr für andere Nutzer der Plattform angezeigt, ohne dass dies offiziell vom Betreiber kommuniziert wird. Dies führt in der Regel dazu, dass der Nutzer von dem „Ban“ keine Kenntnis hat. Teilweise wird Online-Plattformen unterstellt, diese Praxis zur Zensur oder Unterdrückung der Meinungsfreiheit zu nutzen. Offiziell wird sie angewandt, um die Sicherheit der Plattform zu gewährleisten, falls sich Nutzer nicht an die Nutzungsbedingungen halten. Unter dieser Begründung setzte auch Vinted das Verfahren ein.

Datenschutzrechtliche Relevanz von Shadow Banning

Grundsätzlich gilt, dass Nutzer über „die Existenz des Verarbeitungsvorgangs und seine Zwecke unterrichtet“ werden müssen (Erwägungsgrund 60 DSGVO). Das gilt auch für Personen, die gegen die Nutzungsbedingungen einer Plattform verstoßen. Das bedeutet, dass Nutzer über die Sperrung ihres Accounts, was auch Shadow Banning umfasst, zu informieren sind. Nur in Ausnahmefällen, wie bei strafrechtlich relevanten Vorfällen, kann von dieser Pflicht abgewichen werden. Vinted hat diese Informationspflicht jedoch nicht beachtet.

Fast 2,5 Millionen Euro Bußgeld

Infolge der Verstöße hat die SDPI ein Bußgeld in Höhe von 2,385,276 Euro verhängt. Die litauische Behörde begründete die Strafhöhe mit den Ausmaßen des Verstoßes. Hierbei verwies sie auf die Leitlinien des Europäischen Datenschutzausschusses zur Berechnung von Geldbußen im Sinne der DSGVO. Zunächst sei die grenzübergreifende Dimension der Verstöße relevant. Daneben trete die Vielzahl an betroffenen Personen.

Reaktion von Vinted

Gegenüber dem Online-Portal FashionUnited hat Vinted erklärt, dass sie planen in Berufung zu gehen, da man die Anschuldigungen für unberechtigt halte. Die Sicherheit der Konten der Nutzer sei weiterhin gewährleistet und eine Verletzung ihrer persönlichen Daten finde nicht statt. Für die Entscheidung der SDPI existiere keine Rechtsgrundlage. Im Übrigen erklärt das Unternehmen, dass man Shadow Banning mittlerweile nicht mehr verwende.

Fazit

Das Bußgeld über 2 Millionen Euro für Vinted durch die litauische Aufsichtsbehörde verdeutlicht die Pflicht von Verantwortlichen sämtliche Transparenzgebote der DSGVO sorgfältig umzusetzen. Spannend wird aber insbesondere die Thematik des Shadow Bannings bleiben. Hierbei handelt es sich um ein Problem mit datenschutzrechtlichem Bezug, über das es bislang wenig Rechtsprechung existiert. Vinted hat nun einen Monat Zeit, also bis Anfang August, Rechtsmittel gegen das Bußgeld einzulegen. Über alle Entwicklungen bleiben Sie bei uns informiert.